2026年も、情報処理推進機構（IPA）とセキュリティ識者を含む約250人のメンバーによる「情報セキュリティ10大脅威」が公開されました。個人と組織に分けた“10の脅威”がリストアップされています。

　赤字で取り上げられている組織の「AIの利用をめぐるサイバーリスク」と、個人の「インターネットバンキングの不正利用」は、前年には存在しなかった脅威です。いずれも識者の審議を経て選ばれたものであり、対策が求められる重要な脅威だといえます。

図1　情報セキュリティ10大脅威 2026｜情報セキュリティ（https://www.ipa.go.jp/security/10threats/10threats2026.html）［クリックで拡大］ 出所：情報処理推進機構（IPA）

　多くのセキュリティベンダーは、この脅威リストを基に今後1年にわたり解説を行っていくとみられます。セキュリティ担当者や経営層にとっても、ここに挙げられた脅威は「攻撃が自社に向けられる」前提で考えるべきものばかりです。最近では、防御策を講じるだけでなく、「攻撃者ならどのように攻撃するか」を想定し、攻撃の兆候を事前に察知して対策を講じる姿勢が求められています。

　もっとも、ブラックマーケットを監視して攻撃者の動向を調べたり、国家を背景とする攻撃グループを調査したりする「脅威インテリジェンス」を自前で得ることは、中小企業にとって容易ではありません。それでも、まずはこの10の脅威から考えてみようという出発点となる資料が、情報セキュリティ10大脅威だと筆者は考えます。

　実際のところ、ここで示されている粒度の脅威はそう簡単には変わりません。誰も想像していない新たな手法が次々に生まれているというよりも、既存の脅威が形を変えながら進化していると捉える方が実態に近いでしょう。「N年連続」という表記が目立つことからも、その傾向がうかがえます。2026年版の詳細な解説はまだ公開されていませんが、2025年版の内容を確認しておくことも有効です。

組織も個人を意識せよ

　この10大脅威を読み解く上で、筆者が伝えたいことが2つあります。1つは、2024年から個人向けの脅威について順位が掲載されていないという「意図」をしっかり受け止めてほしいという点です。

　2025年までは、下記のような注記が付いていました。

個人の10大脅威の順位は掲載せず、五十音順で並べています。これは、順位が高い脅威から優先的に対応し、下位の脅威への対策が疎かになることを懸念してのことです。順位に関わらず自身に関係のある脅威に対して対策を行うことを期待しています。

　今回も便宜上、組織向けの脅威には順位が付いています。しかし、攻撃者は個人と組織を厳密に分けて攻撃するわけではありません。そのため、組織においても順位を過度に重視すべきではありません。少なくとも、ここに挙げられた脅威には並列で対策を進める必要があります。もちろん優先順位の整理は必要ですので、今回の順位は参考になりますが、「うちは3位まで対応する」といった足切りに使うべきではありません。

　加えて、組織のセキュリティ担当者は組織向けの脅威だけに注意すればよいわけではありません。従業員は一歩会社を出れば個人です。また、ビジネスメール詐欺やサポート詐欺など、最近の攻撃では組織内の1人の従業員を狙う詐欺的な手法が増えています。組織の中の個人を守ることが、結果として組織全体を守ることにつながります。そう考えると、組織においても個人向け10大脅威を無視せず、むしろその啓発を組織内で行うことが、確実性の高いセキュリティ対策の1つになるといえるでしょう。